管理されたSSO

この機能は、Enterprise Plusプランの一部です。

Managed SSO は、Hugging Face のログインを完全に置き換えます。Identity Provider が、Hugging Face プラットフォーム全体における組織メンバーの唯一の認証方法となります。組織は、アカウントの作成から無効化までのユーザーライフサイクル全体を管理します。

Basic SSOとの比較については、SSOの概要を参照してください。

仕組み

Managed SSOはHugging Faceのログインを置き換えます。 管理対象ユーザーがHugging Faceで認証を行う唯一の方法は、あなたのIdPです。Hugging Face用の個別のログインは存在しません。Basic SSOとは異なり、メンバーは既存のHugging Faceアカウントを必要としません。ユーザーが初めてあなたのIdPを通じて認証を行うと、アカウントが自動的に作成されます。

IdPは、Hugging Faceプラットフォームのいずれかの部分とやり取りを行う組織の全メンバーにとって、必須の認証経路です。メンバーは、プライベートリポジトリや組織リポジトリへのアクセス時だけでなく、すべてのHugging Faceサービスを利用する際に、IdP経由で認証を行う必要があります。

IdPでユーザーが無効化されると、そのHugging Faceアカウントも無効化されます。これにより、組織はアイデンティティ、アクセス、データガバナンスを完全に管理できます。

はじめる

Managed SSOはセルフサービスでの設定はできません。組織でManaged SSOを有効にするには、Hugging Faceチームにお問い合わせください。設定は、組織への円滑な移行を確保するため、当社の技術チームと連携して行われます。

既存の組織を移行する場合は、まずManaged SSO への移行をお読みください。メンバーの既存の個人アカウントは移行されず、プロビジョニングを行う前に、各メンバーが業務用メールアドレスを解放する必要があります。

SAML 2.0 と OIDC の両方のプロトコルがサポートされており、Okta、Microsoft Entra ID (Azure AD)、Google Workspace などの人気のあるアイデンティティプロバイダーと統合できます。

ユーザープロビジョニング

Managed SSO は SCIM による自動ユーザープロビジョニングを導入し、Hugging Face 上のユーザーライフサイクル全体を管理します。SCIM を使用すると、IdP が Hugging Face へユーザーのアイデンティティ情報を通信できるようになり、IdP 内で変更が発生した際に、ユーザーアカウントの自動作成、更新（例：名前の変更、ロールの変更）、および無効化が可能になります。

SCIMのセットアップと管理方法の詳細については、専用ガイドをご覧ください。

SSO機能

Managed SSOは、ロールのマッピング、リソースグループのマッピング、セッションのタイムアウト、外部コラボレーターをサポートしています。これらの機能は、組織の設定から構成できます。

管理アカウントに関する制限

マネージドアカウントに関する重要な考慮事項。

組織の管理とデータガバナンスを確保するため、管理ユーザーアカウントには特定の制限が設けられています。

• 個人コンテンツの作成なし: 管理ユーザーは、個人のユーザーネームスペース内にコンテンツ（モデル、データセット、Spaces）を作成できません。すべてのコンテンツは組織内で作成する必要があります。
• 組織に紐付いたコラボレーション：管理対象ユーザーは、管理元組織内でのみコラボレーションを行うことが制限されます。他の組織に参加したり、管理元組織外のリポジトリに貢献したりすることはできません。
• コンテンツの可視性: 管理ユーザーによって作成されたコンテンツは、組織内に保存されます。管理ユーザーは個人のプロフィールにパブリックなコンテンツを作成することはできませんが、組織の設定で許可されている場合、組織内でパブリックなコンテンツを作成することができます。

これらの制限は、エンタープライズのセキュリティ境界を維持するために設けられています。個人プロジェクトや組織外でのより広範なコラボレーションを行う場合は、メンバーは別の管理対象外の Hugging Face アカウントを使用する必要があります。

Update on GitHub